サプライチェーン攻撃の事例に学ぶ　公式発表で確かめた侵入の経路を整理

サプライチェーン攻撃の事例は、公式発表で確かめられる範囲では、委託先、部品の供給網、ソフトの更新という3つ⁠の経路に分けられます。

今日やることは、自社につながる外部の接続先とIDの一覧を1枚作ることです。保守会社の遠隔接続、取引先の受発注システム、外注先に渡したクラウドのアカウントが主な項目です。IPAの解説書も、対策の一つとして委託先と取引先のIDやネットワーク接続の把握を挙げています。

この記事では、サプライチェーンセキュリティの解説⁠のうち事例を扱います。会社を責めるためではなく、自社の点検に使うために、公式発表と公的機関の資料に書かれた範囲だけをまとめます。

なぜ事例を経路で分けるのか

事例を社名で覚えても、自社の対策にはつながりません。経路で分けると、自社のどこを見ればよいかが決まります。

情報セキュリティ10大脅威 2026⁠の組織編では、「サプライチェーンや委託先を狙った攻撃⁠」⁠が2位で、8年連続の選出です。ただしIPAは、順位は対策の優先順位ではないとしています。

IPAの解説書は、サプライチェーンを商品の企画から販売までの流れと、それに関わる組織や外部サービスと説明しています。あわせて、ソフトウェアの開発に関わるライブラリやツールなどのつながりをソフトウェアサプライチェーンと呼んでいます。この記事の3分類は、この説明を基に私たちが整理したものです。

委託先を経由した事例

NEC：委託先の正規アカウントの悪用（2026年）

NECの発表によれば、システム開発と保守の委託先が2026年9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報が悪用されました。お客さまの環境に委託先の端末から正規アカウントで不正アクセスが行われ、サーバ内のファイルが暗号化されました。関係者の情報共有に使っていたクラウドストレージのファイルの漏えいも確認されています。

発表は全容の解明の途中です。対策の一つとして、委託先に自社管理の端末を貸与するなどの措置を挙げています。

学べることは、正規のIDからのアクセスも点検の対象にすることです。委託先に渡したIDを一覧にし、どの端末から、どの範囲に入れるのかを確かめます。共有用のクラウドに何を置いているかも、同じ一覧で見ます。

東海大学：委託先に保管されたデータ（2025年）

東海大学の第1報⁠によれば、ネットワークシステムの保守や管理の委託先が管理するサーバがランサムウェアの被害を受けました。この時点で学内ネットワークへの直接の侵入の形跡は確認されていません。一方、委託先のサーバに保管されていた同法人の関係者の個人情報を含むデータが漏えいした可能性が大きく疑われると発表しています。

自社のネットワークが無事でも、預けたデータは影響を受けることがある、という事例です。保守の作業が終わったデータを委託先に残していないかを確かめ、契約で返還や削除を決めておきます。

部品の供給網を止めた事例

製造業にとって身近なのが、この経路です。

小島プレス工業：子会社の接続機器が入口に（2022年）

小島プレス工業の調査報告書（第1報）⁠によれば、きっかけは子会社が特定の外部企業との専用通信に使っていたリモート接続機器の脆弱性でした。攻撃者はそこから子会社のネットワークに入り、さらに同社のネットワークへ侵入しました。サーバやパソコンの一部のデータが暗号化されています。同報告書の時点で、外部へ情報が持ち出された形跡は確認されていません。

影響は納入先に及びました。トヨタ自動車の発表⁠によれば、この国内仕入先のシステム障害の影響で、2022年3月1日⁠に国内全14工場28ラインの稼働を停止しました。翌3月2日⁠の1直からの再開⁠も発表されています。

小島プレス工業の社長メッセージ⁠によれば、3月2日から納入を再開できましたが、この時点で可能になったのは受発注に関わるデータのやり取りを代替手段で行うことまででした。社内のシステムでは、メールを含めて障害が続いていました。

この事例から確かめたいことは2つあります。

• 子会社や拠点が独自に置いた接続機器まで、台帳に入っているか
• 受発注のシステムが止まったとき、納入を続ける別の手段があるか

たとえば、板金部品のメーカーが、親会社から指定された専用回線の機器を拠点ごとに管理している場合です。購入や保守を拠点に任せたままだと、本社の台帳に載らないことがあります。機器の製造元、モデル、保守事業者を一覧にし、更新の担当を決めます。SCS評価制度の要求事項でも、ネットワーク機器のこうした情報の把握が項目に入っています。

アスクル：物流を受託する側が止まる（2025年）

アスクルの第13報⁠によれば、2025年10月19日⁠のランサムウェア攻撃で物流システムが暗号化され、物流センターの出荷業務が全面的に止まりました。同じデータセンター内のバックアップファイルも暗号化され、復旧に時間を要しました。発表は、物流受託サービスを利用する企業とそのお客様にも迷惑をかけたと述べています。

強化策としては、全リモートアクセスの多要素認証の必須化が挙げられています。

部品ではなく物流の例ですが、自社の外にある工程が止まれば自社の出荷も止まる、という点は同じです。自社が受託する側なら、顧客の工程を止める側に立つ可能性があります。バックアップの置き場所が本番と同じ環境の中だけになっていないかを確かめます。

ソフトの更新や配布を経由した事例

3CX：配布されたアプリに問題が含まれた（2023年）

業務用の電話システムを提供する3CXは、2023年⁠の公式の注意で、Windows版アプリのバージョン18.12.407⁠と18.12.416に、セキュリティ上の問題が含まれると発表しました。同社は当初の説明で、アプリに組み込んだライブラリの一つが原因とみられるとしています。後の更新では、調査会社の見解として、侵入とサプライチェーン攻撃は北朝鮮との関係があるとされる集団によるものと説明しました。

EmEditor：公式サイトのダウンロードリンク（2025年）

IPAの解説書⁠によれば、Emurasoft社は2025年12月⁠と翌1月に、EmEditorの公式サイトでインストーラーのダウンロードリンクが改ざんされ、偽のインストーラーが配信されたと公表しました。公式サイトから入手したという事実だけでは、安全を確かめきれない例です。

crates.io：開発で使う部品（2026年）

JPCERT/CCの週次レポート（2026年8月26日）⁠は⁠、Rustのパッケージレジストリcrates.ioで、複数のパッケージに悪意のある依存関係が追加されたバージョンが公開されたと伝えています。問題のバージョンは削除済みです。ビルドした場合は資格情報のリセットなどの対応が推奨されています。社内でソフトを開発している会社や、開発を委託している会社に関わる話です。

この経路では、更新を止めれば解決するわけではありません。更新を止めれば、既知の脆弱性が残るからです。対策の軸は次の3つです。

• どのパソコンとサーバに、どのソフトのどの版が入っているかを把握する
• 注意が出たときに、該当する端末をすぐ探せるようにする
• 更新の手順と、問題が出たときの連絡先を決めておく

ソフトの把握と更新の管理には脆弱性管理ツールの比較が、不審な動きの検知にはEDR（エンドポイント検知・対応）⁠の比較が参考になります。IPAの解説書は、納品物に組み込まれたソフトウェアの把握にSBOM（ソフトウェアの部品表）⁠の導入を検討することも挙げています。

事例から、自社で確かめること

委託先の状況をどこまで確かめるかは、契約で決めます。IPAの解説書は、委託先の対策状況と情報資産の管理の実態を定期的に確かめられる契約にすることや、セキュリティ評価サービスを用いた状況把握を挙げています。外から見られる情報で委託先の状況を比べる方法としては、セキュリティ評価サービス（取引先チェック）⁠の比較があります。

自社が受託する側なら、聞かれる前に説明できる形にします。取引先への説明に認証を使う場合は、ISMSの取得の流れと担当の決め方⁠で工程を確かめられます。

事例を読んだあとに残すものは、社名の一覧ではなく、自社の接続先とIDの一覧です。その1枚を、年に1回⁠は更新します。